搜索[XSS风险]结果-低调大师优秀个人博客

精选列表

搜索[XSS风险]，共10000篇文章

Spring Security 大小写敏感校验鉴权绕过风险

漏洞名称 Spring Security 大小写敏感校验鉴权绕过风险漏洞类型使用具有不一致性实现的函数发现时间 2024-11-20 漏洞影响广度 - MPS编号 MPS-z0eg-x6fj CVE

2024-11-21

IBM 推出 5 亿美元企业 AI 风险投资基金

IBM宣布计划对专注于企业 AI 的初创公司进行更多投资，将启动一项 5 亿美元的风险投资基金。

2023-11-08

AI 教父：应将 1/3 的 AI 预算用于风险管理

Yoshua Bengio 和 Geoffrey Hinton 与其他 22 位领先的人工智能学者及专家，一起提出了一个政策和治理框架，旨在解决与人工智能相关的日益增长的风险。

2023-10-25

生成式 AI：机会与风险并存，企业该如何取舍？

调查发现，68%的高管认为生成式AI的好处大于风险，而只有5%的人认为风险大于收益。然而，随着使用程度的不断深入，高管们可能会开始改变他们的观点。

2023-09-21

开源圈的运营都分为哪几种？不同的运营需要哪些技能，每天都在负责什么工作呢？在《中国开源社区 Landscape 社区畅聊》系列直播的第五期，我们邀请了 PG中文社区运营负责人王向阳（Benker）、TiDB 开源社区运营黄漫绅（billmay | 表妹），让两位运营同学聊聊运营的日常工作，分享一些运营技巧，以及入门开源圈运营所需的一些技能，还有一些运营工作中有趣的故事... 直播期间可随时提问，嘉宾会抽取高质量问题进行解答，被选中的提问者可以获得礼品一份。一、直播主题主题：开源圈运营同学的日常时间：12 月 8 日（周四） 20：00 ~ 21：00 平台：“OSC 开源社区” 视频号主办方：COSCLC 社区 & TiDB 开源社区 & PG 中文社区二、直播嘉宾主持人：黄漫绅 TiDB 开源社区社区运营分享嘉宾：王向阳象圈社区发起人，PG中文社区运营负责人三、直播通知群加入群聊，获取直播的一手通知、与其他开发者共同探讨技术（摸鱼吹牛）。四、直播话题开发者运营&用户运营的日常是什么开源社区运营需要具备哪些素养/技能？开源社区运营技巧&注意事项理想中的开源社区是什么样的？运营中遇到的有趣的人和事有趣的创业经历与故事五、直播福利福袋抽奖：直播中将有多轮抽奖，10 + 个中奖名额，参与就有机会获得 OSC T 恤、笔记本、TiDB 单肩包、前沿技术书籍等礼品。关于中国开源社区 Landscape 社区 COSCLC：中国开源社区 Landscape 社区，是以国内开源社区为单位的社区，旨在通过凝聚社区力量，推动国内开源生态发展。（COSCLC 具体章程等规划正在筹备中，近期公布。）关于《COSCLC 社区畅聊》系列直播《COSCLC 社区畅聊》系列直播由中国开源社区 Landscape 社区（COSCLC）推出，把目光聚焦于开源项目背后的开源社区和开源作者，让他们来畅聊一下：自己的开源项目因何而起、经历了怎样的发展，开源作者 / 社区在开源过程中的酸甜苦辣、开源项目的运营经验... 每个开源项目的背后都有不同的故事，让我们倾听这些来自社区，来自作者的声音。

2022-12-21

clickhouse在风控-风险洞察领域的探索与实践

一、风险洞察平台介绍以Clickhouse+Flink实时计算+智能算法为核心架构搭建的风险洞察平台, 建立了全面的、多层次的、立体的风险业务监控体系，已支撑欺诈风险、信用风险、企业风险、小微风险、洗钱风险

2022-11-14

AI技术在基于风险测试模式转型中的应用

作者 | 韩照光导读基于风险驱动的交付是百度实践智能测试--感知智能阶段非常重要的研究方向，基于风险驱动的交付，源于三个现状：一、不是所有的项目都有风险，80%以上的项目无任何的关联bug和线上问题

2022-11-08

OpenSSF发布npm 最佳实践指南，应对开源依赖风险

随着开发人员越来越多地共享和使用依赖项，依赖项在促进更快地开发和创新的同时，带来的风险也随之增加。

2022-09-08

漏洞风险通告及更新 | Fastjson反序列化漏洞

近日Fastjson Develop Team 发现 fastjson 1.2.80及以下版本存在新的风险。[1]5月23日，Fastjson官方发布漏洞风险通告，声明修复了一处新的反序列化漏洞。

2022-05-25

苹果开源技术让数亿 Android 设备面临 RCE 风险

众所周知，一个项目长期不维护也就伴随着风险。

2022-04-25

携号转网体验报告：流程和风险统统告诉你

WOT全球技术创新大会2022，门票6折抢购中！购票立减2320元！本文具有时间局限性、区域局限性，撰写文章时间为2021年12月，因为时间或者地区的关系，携号转网相关程序、手续、流程如产生改动，恕不通知，敬请谅解。前情(为什么要转网)：部分号码来电接听后无法通话(双方无声) 换手机可复现(排除手机原因) 换地址可复现(排除基站原因) 换SIM卡可复现(花费5元，排除SIM卡原因) 联通线上线下客服无解决方案联通后台表示我的通话状况正常发现该问题已经3天的时候和联通提出携号转网，联通线上客服的话术竟然说“没出现多长时间”，挽留话术中有“给你100+元话费”“月费打折”等，不痛不痒 —— 我要的是解决问题，你们解决不了我就转网，这些话术建议省省。在这里需要感谢工信部让普通用户拥有携号转网的权利，换做以前为了保号只能默默忍受某些运营商令人作呕的服务，现在虽然可选择依旧不多，但至少有了一定的选择权。注意事项： 1、违约金三大运营商偶尔都会提供一些“充XX元送YY元”“话费XX折”活动，其中YY元一般都是分几个月甚至是几个月赠送，这种福利实际上就是换你的在网时间，防止用户流失 —— 如果流失，那需要偿还违约金。我个人违约金是230+元，因为自己搞了个铺子养猫需要远程监控猫的情况和管理一些自动喂食器，使用联通129元套餐可以免费使用他们500兆网络，咨询办理人员后得知有个“7折优惠，月租仅需90元” —— 携号转网后所有优惠都会被取消，也就是我使用这个套餐6个月，需要偿还 6 x (129 - 90)= 234 元的差价。个人认为，赔偿合理，但不合情。我违约并非因为个人原因，而是你们联通没办法解决服务问题。不过介于此前部分线上客服的服务态度，我也不想跟他们扯皮。 2、在网时长携号转网后在网时长是重新计算的，例如我这个联通号码从2016年，在网时长5年多，携号转网后在网时长直接从0开始。在网时长的意义是什么?它其实跟个人信用有一定关系，尤其是办理银行相关业务会作为信用凭证 —— 例如你没有在网时长超过2年的号码，那么很可能无法办理部分银行的储蓄、信用卡，如果是办理对公账户，那么审核会更加严格。和在网时长同理，你在老运营商内的积分会全部失效，转网之前记得全部兑换。 3、转网时机建议每个月20日之后再申请转网，因为在转网成功当月，老运营商还是会全额扣当月月租 —— 也就是说如果你当月1号申请注销，接下来从2号开始完全用不了这张SIM卡，也是会实实在在扣你当月费用。转网流程： 0、资格查询发送给原运营商(10010 或 10086 或 10000 ) CXXZ#姓名#身份证证件号码，会给你反馈是否有阻碍你携号转网的业务，如果有就推掉，部分业务可能产生上文提到的违约金。 1、申请谐号转网没必要拨打线上客服，反正最终也是需要你跑一趟线下营业厅。到营业厅取号排队直接跟业务员说办理携号转网，迫于压力业务员会有挽留话术，你可以选择无视，但不要为难业务员。我因为一开始打算解决问题，跑了2次营业厅，营业厅小姐姐已经记得我的号码了，对号码流失表示惋惜。我也很无奈，能解决的话谁乐意花这么大功夫转网啊? 2、到转入的运营商APP申请不需要跑线下，直接APP申请携号转入，转入人家欢迎得很，会有专员打电话跟你联系。 3、等待上门我转入的是中国移动，申请结束后 10085 很快来电确认手续，预约送货上门。我还以为需要跑营业厅，结果人家直接京东(我这边京东是和移动、电信合作，有专员负责)送卡上门，全程不产生费用。 4、激活京东快递小哥会随身携带验证身份证和激活设备，你可以当天发送 SQXZ#姓名#身份证证件号码给原运营商(10010 或 10086 或 10000 )获取【授权码】，快递小哥需要验证这个它才能激活新卡。但当天晚上插卡并没有信号，我这边是等到第二天早上8点54分开始收到信号，同时老SIM卡失效。 5、退费如果老运营商的账户里存了很多话费，是要自己到线下营业厅申请退费的，到下个月账单日(一般是5号以后)后申请退费即可。但联通的计费规则比较霸王，使用其服务不到一个月也要按照一个月扣费，我会尝试投诉到工信部，看看能不能按比例计费。耗时：我从12月10日去营业厅办理到12月14日上午移动卡收到信号，花了4天。实际上如果效率更高，2天就可以完成。费用总结：个人情况：违约金(个人产生234元违约金); 在联通尝试更换SIM卡(个人产生5元换卡费); 用了13天联通服务要付完整个月月租129元。如果你拿捏得当，那么理论上全程免费。其他：三大运营商并不存在谁绝对有优势，也没有谁绝对劣势，地区、时间的差别，提供的服务也千差万别 —— 就目前的状态来看，深圳三大运营商基本都是奥利给。只不过这次联通无法解决我接电话的问题让我很无奈，只能折腾。最后，再次感谢工信部给我不需要注销卡号就能转网的权利。作者声明本文无利益相关，欢迎值友理性交流，和谐讨论～【责任编辑：未丽燕 TEL：（010）68476606】

2021-12-16

正在推动勒索软件事件激增的网络风险趋势

在最近发布的一份调查报告中，AGCS分析了围绕勒索软件的最新风险发展趋势，并概述了企业如何通过良好的网络安全措施和IT安全实践来加强安全防御。

2021-12-10

Linux 内核出现 TIPC 漏洞，具有远程代码执行风险

透明进程间通信（TIPC、Transparent Inter Process Communication）是一种用于进程间通信的网络通信协议，原本是为集群间通信特别设计的。该协议在主要 Linux 发行版的内核模块包中实现。近日，SentinelLabs 在使用CodeQL进行开源项目的 bug 搜索调查时发现 TIPC 模块中存在一个严重的漏洞。CodeQL 是一个语义代码分析引擎，允许开发者像查询数据一样查询代码。该漏洞表现为：Linux 内核的 TIPC 模块中存在一个关键的堆溢出安全漏洞，可以被黑客以本地或远程的方式利用，以获得内核级权限并执行任意代码，进而导致系统完全被破坏。 TIPC 是一个点对点协议，由 Linux 集群内的节点以一种优化的方式相互通信；它可以实现各种类型的消息，用于不同的目的。根据 SentinelLabs 的研究调查，有关的漏洞（CVE-2021-43267）存在于一种允许节点相互发送加密密钥的 MSG_CRYPTO 消息类型中。 SentinelLabs 的研究员 Max Van Amerongen 表示，“当被用户加载时，TIPC 可以作为一个套接字使用，并可以在接口上配置。所有的消息构建和解析都是在内核中进行的，这使得它成为了攻击者的理想目标。” 当涉及到该消息构建时，每个 TIPC 消息都有一个共同的 header 格式。根据该研究员的说法，该 header 包含一个 "header 大小" 分配，还有一个 "消息大小" 分配，这两个大小是由 tipc_msg_validate 函数所验证的。如前文所述，这个额外的消息类型 "MSG_CRYPTO" 允许节点相互发送加密密钥。根据分析，这些消息包含密钥算法的名称和密钥本身。对密钥长度或密钥算法名称本身大小（TIPC_AEAD_ALG_NAME），目前都没有针对这些内容进行大小验证的检查。对 MSG_CRYPTO 消息类型缺乏这种大小验证，为堆溢出漏洞打开了大门。该漏洞影响到 5.10 至 5.15 之间的 Linux 内核版本。但需要注意的是，虽然目前所有主流的 Linux 发行版都有 TIPC 模块，但在默认情况下并没有开启的，并且只有在开启 TIPC 后才会使你的 Linux 系统受到该漏洞的影响。 SentinelLabs 在 10 月 19 日已向Kernel.org团队报告了这个漏洞。该模块的维护者在 10 月 21 日已完成了补丁。该补丁已经同 Linux 5.15 版本一同发布。为了确保万无一失，建议 Linux 用户应该更新近期发布的补丁。

2021-11-06

10 月补丁日：Oracle 多个产品漏洞安全风险通告

-102001 报告来源：360CERT 报告作者：360CERT 更新日期：2021-10-20 1漏洞简述 2021年10月20日，360CERT监测发现Oracle官方发布了2021年10月份的风险通告

2021-10-20

数十亿的蓝牙设备面临BrakTooth安全漏洞风险

据网络安全专家称，数十亿的蓝牙设备现在面临着名为 BrakTooth 的明显安全漏洞的风险。

2021-09-06

技嘉遭勒索软件攻击112GB数据存风险

PC厂商技嘉科技公告称6日当天遭受黑客网络攻击，台湾资安团队已与多家外部资安公司技术专家合作，共同处理此次针对技嘉科技少部分服务器的网络攻击，并已将所监测到的异常网路状况，通报予当地政府相关执法部门与资安单位，并保持密切联系。外媒Bleeping Computer表示，发起攻击的是RansomEXX组织，该组织的受害人包括巴西政府、美国德州交通部、厄瓜多国立电讯公司等。黑客威胁称如果公司不支付赎金，将公开112GB的公司内部数据，其中包括技嘉和 Intel、AMD 和American Megatrends的机密通信，以及保密协议。该组织威胁要公开所有内容，除非技嘉愿意支付赎金。技嘉方面表示，目前公司生产、销售及日常营运未受影响。技嘉科技方面称已于第一时间启动资安防御，并进行网路攻击清查，受到影响的内部服务均已陆续恢复运作，亦同步检视并强化现有的基础架构，全面提升网络安全等级以保护资料安全及完整性。

2021-08-09

6300万美国用户的信息存在泄露风险

据外媒，近日美国安全企业VPNMentor近日发现了一起重大数据泄露事件，一个属于OneMoreLead的数据库将多达6300万的用户信息(工作地点、电子邮件地址和姓名)储存在一个没有保护的数据库中。据悉，VPNMentor在4月16日注意到这起数据泄漏事件，并在四天后通知OneMoreLead。由于他们未能保证这个数据库的安全，至少有6300万人可能被诈骗，他们的身份信息被盗，甚至更糟。该公司的安全研究人员表示，VPNMentor的网络安全团队在一个常规研究项目中发现了这个数据库，但目前尚不清楚数据的来源。研究人员指出，如果要收集1.26亿美国公民的数据，OneMoreLead公司必须在该公司启动之前很久开始收集数据。无论他们是如何掌握这些数据的，该公司都要对因未能保护这些记录而造成的任何损失负责。而且OneMoreLead有很大可能会受到法律诉讼，因为受数据泄露影响的大多数人都是加利福尼亚的居民，这意味着他们受到该州数据隐私法的保护。

2021-08-07

OpenChain 解读｜企业如何规避使用开源软件的各种风险？

联系人：陈漱玉邮箱: chenshuyu@oschina.cn 微信（电话）: 13316061123

2021-06-01

富士代码执行漏洞使工业设备面临安全风险

Espinosa向Threatpost解释说："ICS和SCADA系统面临的最大挑战之一是它们不再是在隔离的网络上运行，尽管通常'防火墙'是关闭的，但它们基本上是连接在互联网上的，这大大增加了黑客利用漏洞进行攻击的风险

2021-02-01

2020年，高风险漏洞发现增加了65％

这说明管理已知晓的风险对于大多数企业来说仍然是一个挑战。去年，向所有行业提交的申请都有所增加。最值得注意的是，API和物联网漏洞翻了一番，在Android目标中发现的漏洞翻了三倍多。

2020-12-29

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。